【安全风险通告】Apache Dubbo多个高危漏洞安全风险通告

  • A+
所属分类:安全漏洞
【安全风险通告】Apache Dubbo多个高危漏洞安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告有效解决方案。




风险通告



近日,奇安信CERT监测到国外安全研究人员发布了Apache Dubbo多个漏洞的相关细节,其中包含Apache Dubbo Hessian2 协议反序列化漏洞(CVE-2021-25641),Apache Dubbo Generic filter 远程代码执行漏洞(CVE-2021-30179), Apache Dubbo Telnet handler 远程代码执行漏洞(CVE-2021-32824),Apache Dubbo YAML反序列化漏洞(CVE-2021-30180),Apache Dubbo Nashorn 脚本远程代码执行漏洞(CVE-2021-30181),官方已有可更新版本,鉴于漏洞危害较大,建议用户及时安装更新补丁。



当前漏洞状态



细节是否公开

PoC状态

EXP状态

在野利用

已公开

未知

未知




漏洞描述

Apache Dubbo 是一款高性能、轻量级的开源 Java 服务框架。Apache Dubbo提供了六大核心能力:面向接口代理的高性能RPC调用,智能容错和负载均衡,服务自动注册和发现,高度可扩展能力,运行期流量调度,可视化的服务治理与运维。

近日,奇安信CERT监测到国外安全研究人员发布了Apache Dubbo多个漏洞的相关细节,其中包含:

Apache Dubbo Hessian2 协议反序列化漏洞(CVE-2021-25641):

Apache Dubbo 中存在反序列化漏洞,攻击者可在未授权的情况下,通过特制的数据包绕过Hessian2 协议黑名单限制,实现命令执行。


Apache Dubbo Generic filter 远程代码执行漏洞(CVE-2021-30179):

Apache Dubbo 默认支持对程序接口公开的任意方法的泛型调用,这些调用由 GenericFilter 处理,由于其过滤不严,攻击者可构造恶意请求实现远程代码执行。


Apache Dubbo Telnet handler 远程代码执行漏洞(CVE-2021-32824):

Apache Dubbo 主服务端口允许访问Telnet handler,攻击者可以调用恶意方法实现远程代码执行。


Apache Dubbo 反序列化漏洞YAML(CVE-2021-30180):

Apache Dubbo 支持标签路由,客户能够将请求路由到正确的服务器,客户在发出请求为了找到正确的端点时会使用这些规则。在解析这些 YAML 规则时,Dubbo 客户可以启用调用任意构造函数。只有启用标签路由器的用户可能会受到影响。


Apache Dubbo Nashorn 脚本远程代码执行漏洞(CVE-2021-30181): 

Apache Dubbo 存在远程代码执行漏洞,攻击者控制ZooKeeper注册中心后可构造恶意请求注入Nashorn脚本,造成任意代码执行。


目前官方已有可更新版本,鉴于漏洞危害较大,建议用户及时安装更新补丁。



风险等级

奇安信 CERT风险评级为:高危
风险等级:蓝色(一般事件)



影响范围

2.7.0 <= Dubbo <= 2.7.8

2.6.0 <= Dubbo <= 2.6.9

2.5.0 <= Dubbo <= 2.5.10(2.5.x官方不再维护)



处置建议

1、升级至2.7.10或者2.6.10以上版本:

链接地址:

https://github.com/apache/dubbo/releases/tag/dubbo-2.7.10

https://github.com/apache/dubbo/releases/tag/dubbo-2.6.9



参考资料

[1]https://securitylab.github.com/advisories/GHSL-2021-034_043-apache-dubbo/



时间线

2021年6月24日,奇安信 CERT发布安全风险通告


【安全风险通告】Apache Dubbo多个高危漏洞安全风险通告点击阅读原文

到奇安信NOX-安全监测平台查询更多漏洞详情

本文始发于微信公众号(奇安信 CERT):【安全风险通告】Apache Dubbo多个高危漏洞安全风险通告

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: